Τι είναι το κρυφό κανάλι αποθήκευσης
Ένα κρυφό κανάλι αποθήκευσης προκύπτει όταν ένας κοινόχρηστος πόρος μεταφέρει πληροφορία που δεν προοριζόταν ποτέ να μεταφέρει. Ο αποστολέας αλλάζει ένα παρατηρήσιμο χαρακτηριστικό του πόρου και ο παραλήπτης διαβάζει αργότερα αυτή την τιμή. Το ζεύγος τροποποίηση-παρατήρηση είναι η προϋπόθεση που ορίζει την έννοια: όπου ένα υποκείμενο μπορεί να αλλάξει μια ιδιότητα ενός κοινόχρηστου αντικειμένου και ένα άλλο μπορεί να αντιληφθεί την αλλαγή, υπάρχει ένα κρυφό κανάλι αυτού του είδους.
Η έννοια ανάγεται στις έρευνες περιορισμού των αρχών της δεκαετίας του 1970 και έγινε θέμα επίσημης αξιολόγησης μέσα σε κριτήρια αξιόπιστων συστημάτων, όπως το αμερικανικό TCSEC. Τίποτα δεν στέλνεται ως δεδομένο. Το μήνυμα υπάρχει μόνο ως η ακολουθία καταστάσεων από τις οποίες περνά το κοινόχρηστο αντικείμενο, γι' αυτό η παρακολούθηση της κίνησης από μόνη της δεν το αποκαλύπτει. Τον εντοπισμό τέτοιων ζευγαριών αναλαμβάνει η ανάλυση κρυφών καναλιών.
Πού κρύβονται τα δεδομένα: τυπικοί φορείς
Σχεδόν κάθε κοινόχρηστο αντικείμενο με παρατηρήσιμη και εγγράψιμη κατάσταση μπορεί να χρησιμεύσει ως φορέας. Τα κλασικά κρυφτά:
| Φορέας | Τι μπορεί να γραφτεί | Γιατί ο έλεγχος περιεχομένου δεν τον βλέπει |
|---|---|---|
| Ονόματα και επεκτάσεις αρχείων | Bit κωδικοποιημένα σε σειρά ονομάτων που διαφέρουν στους χαρακτήρες | Το περιεχόμενο του αρχείου μένει το ίδιο και φαίνεται συνηθισμένο |
| Χαρακτηριστικά και μεταδεδομένα αρχείων | Χρονοσφραγίδες, σημαίες κρυφού και μόνο για ανάγνωση, ιδιοκτησία | Τα εργαλεία περιεχομένου δεν διαβάζουν τα χαρακτηριστικά |
| Εναλλακτικές ροές δεδομένων | Κρυφό περιεχόμενο συνδεδεμένο με αρχείο στο NTFS | Οι συνήθεις λίστες δείχνουν μόνο το κύριο αρχείο |
| Πεδία κεφαλίδων πρωτοκόλλου | Αναγνωριστικό IP, αριθμοί ακολουθίας TCP, τιμές TTL | Τα προαιρετικά πεδία σπάνια επικυρώνονται |
| Γέμισμα και αχρησιμοποίητος χώρος | Αχρησιμοποίητα byte πακέτων, ελεύθερος χώρος δίσκου, λιγότερο σημαντικά bit μέσων | Ο ορατός φορέας φαίνεται αμετάβλητος |
Κανάλι αποθήκευσης έναντι χρονικού καναλιού
Οι δύο κατηγορίες διαφέρουν στο τι μεταφέρει το σήμα. Ένα κανάλι αποθήκευσης κωδικοποιεί πληροφορία στην κατάσταση ενός αντικειμένου: κάτι γράφεται, διατηρείται για λίγο και διαβάζεται αργότερα. Συνήθως εντοπίζεται με ανάλυση τροποποίησης-παρατήρησης των κοινόχρηστων πόρων. Ένα κρυφό χρονικό κανάλι κωδικοποιεί πληροφορία στο πότε συμβαίνουν τα γεγονότα και πόσο διαρκούν. Δεν γράφει τίποτα πουθενά και εντοπίζεται με στατιστική ανάλυση του χρονισμού.
Στην πράξη το όριο θολώνει. Το μέγεθος ενός πακέτου μπορεί να θεωρηθεί αποθήκευση, και ένα μοτίβο εκρήξεων μπορεί να θεωρηθεί χρονισμός. Ο διαχωρισμός εξακολουθεί να καθοδηγεί την αναζήτηση: τα κανάλια αποθήκευσης αναζητούνται στην κατάσταση των κοινόχρηστων πόρων και τα χρονικά κανάλια στις στατιστικές της συμπεριφοράς.
Κρυφά κανάλια αποθήκευσης στην πράξη
Περιστατικά και ερευνητικά πρωτότυπα δείχνουν την ποικιλία των φορέων:
| Σενάριο | Πώς μετακινούνται τα δεδομένα |
|---|---|
| Κοινόχρηστος φάκελος ως σημείο ανταλλαγής | Δύο μέρη ανταλλάσσουν δεδομένα μέσω ονομάτων αρχείων που δημιουργούν οι ίδιοι |
| Στεγανογραφία σε κεφαλίδες | Τα bit βρίσκονται σε προαιρετικά, σπάνια επικυρωμένα πεδία IP, TCP ή ICMP |
| Στεγανογραφία σε αρχεία πολυμέσων | Τα δεδομένα κρύβονται στα λιγότερο σημαντικά bit εικόνων, ήχου ή βίντεο |
| Προετοιμασία μέσω ροής | Δεδομένα που συνδέονται μέσω εναλλακτικής ροής κρύβονται από τις λίστες |
Γιατί τα κανάλια αποθήκευσης έχουν σημασία για το εσωτερικό ρίσκο
Για έναν κακόβουλο εσωτερικό χρήστη, το πλεονέκτημα είναι ότι η δραστηριότητα του φορέα μοιάζει νόμιμη. Η δημιουργία, η μετονομασία και η διαγραφή αρχείων σε εξουσιοδοτημένο κοινόχρηστο φάκελο φαίνεται αθώα. Όταν η πληροφορία ζει σε ονόματα και χαρακτηριστικά, ο έλεγχος περιεχομένου δεν έχει τι να εξετάσει. Το ίδιο ισχύει για τη στεγανογραφία: μια εικόνα σε εγκεκριμένη υπηρεσία είναι, για έναν έλεγχο που δεν κοιτάζει μέσα, απλώς μια εικόνα.
Τα κανάλια αποθήκευσης αντιστρέφουν το ερώτημα της παρακολούθησης. Οι άμυνες ρωτούν τι πέρασε από τα επιτρεπτά κανάλια. Ένα κανάλι αποθήκευσης ρωτά σε ποια κατάσταση έμειναν τα κοινόχρηστα αντικείμενα. Ένα καθαρό αρχείο καταγραφής κίνησης αποδεικνύει μόνο ότι τίποτα δεν πέρασε από τα παρακολουθούμενα κανάλια, γι' αυτό η εξαγωγή δεδομένων μπορεί να περάσει από έλεγχο που βασίζεται μόνο στην κίνηση.
Πώς φαίνεται στο Anexet
Στην κονσόλα του Anexet, ο έλεγχος λειτουργιών αρχείων ρυθμίζεται ανά προφίλ πράκτορα, με κάθε λειτουργία ενεργή ή ανενεργή. Ο πίνακας κοινόχρηστων δικτύου προσθέτει στον έλεγχο τα αντίγραφα σκιάς και τον έλεγχο εγγραφής, ώστε μια σειρά μετονομασιών ή ένα ασυνήθιστο αρχείο σε κοινόχρηστο φάκελο να αφήνει καταγραφή. Αυτό αποτελεί μέρος της παρακολούθησης μεταφοράς αρχείων και κοινόχρηστων δικτύου.
1 / 2
Ανίχνευση και μείωση
Επειδή ο φορέας είναι νόμιμο αντικείμενο που εκτελεί νόμιμη εργασία, η ανίχνευση δεν μπορεί να βασιστεί μόνο στον αποκλεισμό. Η πλήρης εξάλειψη σπάνια είναι εφικτή. Ο αποδεκτός στόχος είναι να μειωθεί το εύρος ζώνης του καναλιού κάτω από όσο χρειάζεται ένας επιτιθέμενος και να γίνουν παρατηρήσιμες οι αναγκαίες αλλαγές κατάστασης. Τρία μέτρα το επιτυγχάνουν, και το δεύτερο βασίζεται στον έλεγχο ακεραιότητας αρχείων:
- 1
Ανάλυση σε χρόνο σχεδιασμού
Η ανάλυση κοινόχρηστων πόρων, με τη μέθοδο Shared Resource Matrix, καταγράφει τα ζεύγη τροποποίησης-παρατήρησης και επιβεβαιώνει τα κανάλια αποθήκευσης πριν από την ανάπτυξη.
- 2
Παρακολούθηση κατάστασης
Ο έλεγχος ακεραιότητας αρχείων και η παρακολούθηση με βάση τα μεταδεδομένα σημαίνουν αλλαγές σε χαρακτηριστικά, χρονοσφραγίδες, ονόματα και ροές χωρίς επιχειρησιακό λόγο. Τα ονόματα με τυχαία εμφάνιση υποδηλώνουν κωδικοποιημένα δεδομένα.
- 3
Όρια εξόδου και ρυθμού
Ο περιορισμός των προσβάσιμων υπηρεσιών και πρωτοκόλλων, καθώς και το ανώτατο όριο αλλαγών κατάστασης ή μεταφορών ανά χρήστη, αφαιρεί τις διαδρομές συλλογής και περιορίζει το εύρος ζώνης.
Από πού να ξεκινήσετε
Ξεκινήστε από τους κοινόχρηστους φακέλους και τα αφαιρούμενα μέσα όπου βρίσκονται τα πιο πολύτιμα δεδομένα, και στη συνέχεια ενεργοποιήστε τις λειτουργίες που χρειάζεται ένα κανάλι αποθήκευσης: δημιουργία, μετονομασία, αλλαγές χαρακτηριστικών και εγγραφές. Οι πολιτικές που γράφονται για όλα τα αρχεία ταυτόχρονα καταλήγουν να μπλοκάρουν τη δουλειά και απενεργοποιούνται.
Περισσότερα: Τεχνική διαρροή πληροφοριών: τι είναι και πώς να προστατευτείτε;.
Ένα κανάλι που δεν αφήνει πίσω του περιεχόμενο αφήνει ακόμα ένα ίχνος στην κατάσταση του αρχείου, και αυτό το ίχνος είναι που μπορεί να διαβάσει ένας έλεγχος.
Anexet TeamΠώς το αντιμετωπίζει η Anexet
Το Anexet δεν εκτελεί τυπική ανάλυση κρυφών καναλιών, και κανένα προϊόν endpoint δεν μπορεί να υποσχεθεί ότι θα εντοπίσει κάθε κρυφή μεταφορά. Ένα κανάλι θαμμένο στα έγκατα των πρωτοκόλλων ανήκει στην ανάλυση δικτυακών ιχνών. Το Anexet αφαιρεί την ασάφεια στην οποία βασίζονται αυτά τα κανάλια εκεί όπου αγγίζουν συχνότερα το endpoint: την κατάσταση των αρχείων. Οι λειτουργίες σε αρχεία και κοινόχρηστους πόρους δικτύου καταγράφονται, οπότε οι αλλαγές που χρειάζεται ένα κανάλι αποθήκευσης βασισμένο σε αρχεία (μια έκρηξη μετονομασιών, μια αλλαγή χαρακτηριστικού, ένα παράξενο όνομα) αφήνουν εγγραφή αντί να περνούν σιωπηλά.
Ο πράκτορας στο endpoint καταγράφει τις λειτουργίες αρχείων στον σταθμό εργασίας και στους κοινόχρηστους πόρους δικτύου στους οποίους συνδέεται ο χρήστης. Όλα παραμένουν on-premise: τα καταγεγραμμένα συμβάντα και οι σκιώδεις κόπιες μένουν μέσα στην υποδομή της ίδιας της οργάνωσης.
Audit λειτουργιών αρχείων
δημιουργία, ανάγνωση, εγγραφή, διαγραφή, μετονομασία, εκτέλεση και αλλαγή δικαιωμάτων καταγράφονται με όνομα αρχείου, μέγεθος, διεργασία, χρήστη και σημείο χρόνου, η επιφάνεια όπου δρουν τα κανάλια αποθήκευσης βασισμένα σε αρχεία.
Σκιώδεις κόπιες
όπου το περιεχόμενο έχει σημασία, διατηρείται μια κόπια του αρχείου, ώστε δεδομένα ετοιμασμένα μέσα σε περιεχόμενο ή ροές να μπορούν να εξεταστούν εκ των υστέρων.
Ορατότητα κοινόχρηστων πόρων
οι κοινόχρηστοι φάκελοι, το κλασικό σημείο συνάντησης για νεκρές παραλαβές, καλύπτονται από το ίδιο audit αντί να μένουν χωρίς επίβλεψη.
Περιορισμός καναλιών και συσκευών
έλεγχοι σε αφαιρούμενες συσκευές, εκτύπωση και μεταφορές στενεύουν τις διαδρομές από τις οποίες η ετοιμασμένη κατάσταση μπορεί να φύγει.
Απόδοση
κάθε καταγεγραμμένο συμβάν συνδέει την αλλαγή με έναν χρήστη, host και στιγμή, μετατρέποντας μια παράξενη ανωμαλία σε κάτι που μια ομάδα ασφάλειας μπορεί να ερευνήσει.
Audit λειτουργιών αρχείων
Μάθετε περισσότερα